setcookie関数のsecure属性とhttponly属性が使えない？

Question

疑問点

現在phpでアプリを開発しています。
セッションやCookieを外部から操作されないように、secure属性とhttponly属性をtrueにしたのですが、PHPSESSID以外のCookieで有効になりません。

httponly属性に至っては、trueにするとクッキがー生成されなくて困っています。
なので現状はhttponlyはfalseに設定しています。

教えてほしいこと

PHPSESSID以外のCookieで上記の属性を有効化できる方法。

google開発者ツールのCookie部分

Cookie生成周りのソース

session_regenerate_id(true);
session_cache_limiter('private_no_expire');

setcookie($name='csrf_token', $value='CSRFTOKENEXAMPLE', $expire=0, $secure=true, $httponly=false);
if ($_SESSION['logged_in']) {
    if (!$_COOKIE['accept_user']) {
    |   setcookie($name='accept_user', $value="accept", $expire=0, $secure=true, $httponly=false);
    }
} else {
    setcookie($name='accept_user', $value="deny", $expire=time()-1, $secure=true, $httponly=false);
}

php.iniの設定周り

##　開発環境

• php7.3-fpm
• nginx
• twig
• ubuntu18.04

何卒、よろしくおねがいします！

Answer 1

setcookie($name='csrf_token', $value='CSRFTOKENEXAMPLE', 
          $expire=0, $secure=true, $httponly=false);

は、

$name='csrf_token';
$value='CSRFTOKENEXAMPLE';
$expire=0;
$secure=true;
$httponly=false;

setcookie('csrf_token', 'CSRFTOKENEXAMPLE', 0, true, false);

と同じですね。

Comments

[kiwibird]

ご回答ありがとうございます！
なるほど、強制的に位置引数のような感じになるのですね！ずっとpython書いていたので当たり前のように名前付きの引数を書いていました...ｗ

[otn]

> 強制的に位置引数のような感じになる

ようなじゃなくて、位置引数です。

Answer 2

$secureは第６引数で、$httponlyは第７引数です。
PHPマニュアル:setcookie

$secure=trueと書いたところでsecure属性が指定されるわけではなく、$secureという変数にtrueが代入されるだけです。

Comments

[kiwibird]

お恥ずかしながら、位置引数で指定できていると思いこんでいました...
ちゃんと順番に設定したら動きました！ありがとうございます！！

[kiwibird]

そもそも、PHPには名前付き引数は無いんですね...。完全に思い込みで書いていました。今までよく動いていたな...とｗ
重ね重ね、ありがとうございました！

Answer 3

PHP の cookie secure 属性で勘違いしてたはずかしい話。。
私と同じ勘違いしてませんか？

Comments

[kiwibird]

ご回答ありがとうございます！記事と合わせて見させて頂けました！

今回の原因部分は違いましたが、SESSIONとCookieをごちゃごちゃにしていたのに気づけました！素晴らしい記事をありがとうございます。